# Закон Саудовской Аравии о защите персональных данных и правилах размещения данных в мессенджерах: что должны знать предприятия, отправляющие сообщения в Саудовскую Аравию

> В соответствии с Законом Саудовской Аравии о защите персональных данных (PDPL), применяемым SDAIA, номер мобильного телефона рассматривается как персональные данные. Что должны знать предприятия, отправляющие A2P SMS и OTP в Саудовскую Аравию, о согласии и месте жительства.

- Канонический URL: https://www.broadnet.me/ru/blog/saudi-pdpl-data-residency-messaging
- Язык: ru
- Последнее обновление: 2026-10-20
- Издатель: BroadNet (https://www.broadnet.me)

- Опубликовано: 2026-08-03
- Автор: BroadNet Regulatory Affairs

Закон Саудовской Аравии о защите персональных данных (PDPL), контролируемый SDAIA, распространяется на SMS-сообщения A2P и OTP-коды, поскольку номер мобильного телефона является персональными данными. Отправители выступают в качестве контролеров или обработчиков данных, им необходимо законное основание, такое как согласие, и они должны соблюдать правила трансграничной передачи данных, регулирующие места хранения и обработки содержимого сообщений, метаданных доставки и журналов.

> В этом посте рассматривается уровень защиты данных. Информацию о режиме регистрации и маршрутизации идентификаторов отправителей, устанавливаемом телекоммуникационным регулятором, можно найти в нашем сопроводительном руководстве по [правилам CST (ранее CITC) для идентификаторов отправителей в Саудовской Аравии](https://www.broadnet.me/blog/saudi-citc-cst-sender-id-rules) и на странице страны [Саудовская Аравия](https://www.broadnet.me/regulations/saudi-arabia). Эти два режима частично совпадают, и вы должны соблюдать оба.

## Что представляет собой PDPL и кто обеспечивает его соблюдение?

Закон о защите персональных данных (PDPL) был издан Королевским указом M/19 от 2021 года и изменен Королевским указом M/148 от 2023 года. Он вступил в силу 14 сентября 2023 года, а активное применение закона началось после годичного льготного периода с 14 сентября 2024 года. Контроль за его соблюдением осуществляет Управление по данным и искусственному интеллекту Саудовской Аравии (SDAIA) вместе с его Положениями о применении и отдельным Положением о передаче персональных данных за пределы Королевства. Закон распространяется на любую обработку персональных данных лиц, проживающих в Саудовской Аравии, включая обработку, осуществляемую организациями, расположенными за пределами Королевства, поэтому международная коммерческая деятельность, рассылающая сообщения саудовским клиентам, полностью подпадает под его действие, даже если ее серверы находятся в другом месте. См. обзор страны в разделе [правила для Саудовской Аравии](https://www.broadnet.me/regulations/saudi-arabia).

## Номера телефонов являются персональными данными.

В соответствии с Законом о защите персональных данных (PDPL), персональными данными считаются любые данные, которые прямо или косвенно идентифицируют физическое лицо. Номер мобильного телефона — MSISDN, на который вы отправляете сообщение, — идентифицирует и относится к конкретному человеку, поэтому сам по себе является персональными данными. Это включает в себя множество данных, обрабатываемых отправителем сообщения: списки получателей, записи о запросах и подтверждении одноразовых паролей (OTP), отчёты о доставке (DLR), привязанные к номеру, тела сообщений, содержащие имена или данные учетных записей, а также временные метки, IP-адреса и сетевые метаданные, генерируемые на протяжении всего пути. Рассматривать номер как «просто технический идентификатор» — это наиболее распространенное и дорогостоящее неверное толкование закона.

## Правовые основания, согласие и минимизация данных

Каждая отправка должна иметь законное основание. В соответствии с Законом о защите персональных данных (PDPL) основным основанием является согласие, а поправка 2023 года признала дополнительные основания, включая законный интерес к неконфиденциальным данным, исполнение договора и соблюдение юридических обязательств. На практике маркетинговый трафик должен основываться на явном, доказуемом согласии на получение данных с работающей функцией отказа от получения — чего также ожидает телекоммуникационный регулятор, — в то время как одноразовые пароли (OTP) и транзакционные сообщения обычно основаны на договорной необходимости или законном интересе, поскольку пользователь запросил вход в систему или завершение транзакции. Два дополнительных принципа обязательны для вас на протяжении всего процесса: ограничение цели (используйте номер только для того, на что согласился пользователь) и минимизация данных (собирайте и храните только те поля, которые вам действительно необходимы). Классификация, которую вы указываете для [регистрации идентификатора отправителя CST](https://www.broadnet.me/blog/saudi-citc-cst-sender-id-rules), должна соответствовать законному основанию, на которое вы опираетесь в соответствии с PDPL.

## Обязанности контроллера и обработчика, сопоставляемые с отправителем сообщения.

Если вы определяете, почему и как обрабатываются эти данные, вы являетесь контроллером; ваш поставщик CPaaS или агрегатор, действующий по вашим инструкциям, обычно является обработчиком. Оба несут свои обязанности, и отношения должны регулироваться письменным соглашением об обработке данных. В таблице показано, как основные обязательства PDPL соотносятся с тем, что каждое из них означает для предприятия, отправляющего A2P SMS или OTP в Королевство.

| обязательство PDPL | Что это значит для отправителя сообщений? |
|---|---|
| Правовое основание и согласие | Для каждого типа трафика необходимо иметь веские основания: явное согласие на получение маркетинговых сообщений и отказ от них с учетом ваших пожеланий. |
| Ограничение и минимизация целей | Отправляйте сообщения только на номера, собранные для этой цели; сохраняйте только необходимые поля. |
| Протоколы обработки | Ведите учет того, какие персональные данные вы отправляете, зачем, куда они поступают и как долго вы их храните. |
| Права субъектов данных | Соблюдайте правила доступа, исправления, удаления и отзыва согласия в отношении номеров, которыми вы владеете. |
| Управление процессором | Заключите с вашим поставщиком или агрегатором соглашение об обработке данных, охватывающее вопросы безопасности и субподрядчиков. |
| Трансграничный перевод | Перемещайте данные за пределы Саудовской Аравии только в соответствии с условиями передачи PDPL; предварительно оцените страну назначения. |
| Уведомление о нарушении | Сообщите в SDAIA в течение 72 часов с момента обнаружения проблемы; сообщите пострадавшим лицам, если существует вероятность причинения вреда. |

## Размещение данных и трансграничная передача — что это действительно применимо.

Именно здесь чаще всего неправильно понимают понятие «резидентство в Саудовской Аравии». Измененный Закон о защите персональных данных не вводит обязательное требование локализации всех персональных данных. Вместо этого, его статья 29 и Положение о передаче персональных данных разрешают передачу данных за пределы Королевства при соблюдении следующих условий: передача должна служить разрешенной цели, не должна наносить ущерб национальной безопасности или жизненно важным интересам Королевства, должна осуществляться в страну, которую SDAIA оценивает как обеспечивающую адекватный уровень защиты, или должна быть охвачена соответствующими гарантиями (такими как стандартные договорные положения, обязательные правила или сертификация), может потребовать оценки риска передачи и должна ограничиваться минимальным объемом необходимых данных.

Итак, где должны храниться метаданные и журналы обмена сообщениями? Для большей части A2P-трафика персональные данные могут законно обрабатываться за границей, если соблюдены соответствующие условия передачи. Однако строгие требования к размещению данных внутри Королевства обусловлены тремя факторами, которые дополняют PDPL: отраслевыми регуляторами — прежде всего, правилами центрального банка для банковской и финтех-индустрии, которые обязывают регулируемые финансовые данные оставаться внутри Саудовской Аравии; национальной системой классификации данных и облачными платформами, которые повышают требования к размещению данных по мере роста их конфиденциальности; и корпоративными контрактами, которые просто это требуют. Практическое следствие для отправителя — классифицировать генерируемые данные — записи OTP, журналы DLR, метаданные маршрутизации, архивы сообщений — и позволить этой классификации, а также сектору вашего клиента, определить, могут ли данные покинуть Королевство или должны храниться в регионе. Продумывайте путь передачи данных; посмотрите, как мы подходим к потокам данных и изоляции в нашей [архитектуре безопасности](https://www.broadnet.me/security/architecture).

## Уведомление о нарушении и подотчетность

Закон о защите персональных данных (PDPL) требует от контролера уведомлять SDAIA о нарушении защиты персональных данных и информировать пострадавших лиц о том, где нарушение может причинить им вред, в сроки, установленные в Имплементационном регламенте — оперативный период составляет 72 часа с момента обнаружения нарушения. Ответственность обеспечивается документацией: записи об обработке данных, сопоставление законных оснований, оценки передачи данных и соглашения с обработчиками данных — вот что демонстрирует соответствие требованиям, если этого потребует регулирующий орган. Что касается штрафов, опубликованный закон предусматривает штрафы до 5 миллионов саудовских риалов за нарушения, которые могут быть удвоены за повторные нарушения, а также отдельные уголовные наказания за незаконное разглашение конфиденциальных данных. Вместо того чтобы зацикливаться на заголовках, следует рассматривать скрытое несоответствие требованиям потока данных как реальный операционный риск.

## Контрольный список соответствия требованиям для A2P SMS и OTP в Саудовской Аравии

1. Составьте карту потоков данных — определите каждую точку, где саудовский MSISDN и связанные с ним метаданные собираются, передаются, хранятся и регистрируются от начала до конца.
2. Необходимо установить законное основание для каждого типа трафика — явное согласие с возможностью отказа от получения маркетинговых сообщений; договорная необходимость или законный интерес для одноразовых паролей и транзакционных сообщений.
3. Классифицируйте данные и определите местонахождение — выясните правила для каждого сектора (например, банковский) и необходимо ли, чтобы записи OTP, журналы DLR и метаданные оставались в пределах Королевства.
4. Заключите с вашим поставщиком или агрегатором CPaaS соглашение об обработке данных, охватывающее вопросы безопасности, субподрядчиков и сотрудничества в случае утечки данных.
5. Сведите к минимуму и настройте срок хранения — храните записи OTP и подтверждения только до тех пор, пока это необходимо, и удаляйте содержимое сообщений после завершения доставки и проверки.
6. Подготовьте план действий в случае утечки данных — 72-часовой процесс уведомления в соответствии с Законом об информационной безопасности и доступе к информации (SDAIA), включающий ответственных лиц, шаблоны и правило принятия решений для информирования отдельных лиц.
7. Приведите свои данные в соответствие с телекоммуникационным режимом — зарегистрируйте идентификаторы отправителей и перенаправляйте данные по утвержденным каналам в соответствии с правилами CST, чтобы оба режима оставались согласованными.
8. Перед запуском системы проконсультируйтесь с местным юристом, чтобы подтвердить действующие нормативные акты и любые отраслевые обязательства.

> Отправка SMS-сообщений или одноразовых паролей (OTP) в Саудовскую Аравию – вот где преимущества маршрутизации и соответствия стандартам MENA проявляются в полной мере. Компания BroadNet с 2003 года осуществляет прямые, одобренные операторские соединения с Саудовской Аравией, имеет сертификаты ISO 27001, ISO 9001 и ISO 22301, поддерживает SOC 2 и может обеспечить регистрацию идентификатора отправителя, маршрутизацию и обработку данных в соответствии с вашими требованиями к защите персональных данных (PDPL) – см. [соответствие стандартам](https://www.broadnet.me/compliance) и нашу [архитектуру безопасности](https://www.broadnet.me/security/architecture).

## Часто задаваемые вопросы

### Распространяется ли саудовский закон о защите персональных данных на SMS?

Да. Закон о защите персональных данных (PDPL) регулирует обработку персональных данных, а номер мобильного телефона является персональными данными, поэтому отправка SMS-сообщений A2P или OTP-кода получателю из Саудовской Аравии подпадает под его действие. Он применяется даже к отправителям, находящимся за пределами Королевства, когда они обрабатывают данные лиц, проживающих в Саудовской Аравии. Необходимо иметь законное основание, соблюдать права субъектов данных и следовать правилам передачи любых журналов или метаданных, покидающих страну.

### Где должны храниться данные сообщений для Саудовской Аравии?

Измененный закон о защите персональных данных не является всеобъемлющим требованием локализации — персональные данные могут обрабатываться за пределами Королевства при соблюдении условий передачи, включая оценку адекватности или соответствующие гарантии и минимизацию данных. Однако, согласно отраслевым правилам (в частности, для банковского сектора и финтех-компаний), правилам классификации данных и облачным платформам по мере повышения уровня конфиденциальности, а также корпоративным контрактам, проживание в Королевстве часто требуется. Классифицируйте свои записи OTP, журналы DLR и метаданные, а затем пусть эта классификация и отрасль клиента определяют порядок обработки.

### Подпадают ли данные телефонных номеров клиентов под действие Закона о защите персональных данных (PDPL)?

Да. В соответствии с Законом о защите персональных данных (PDPL) персональные данные — это любые данные, которые прямо или косвенно идентифицируют физическое лицо, и номер телефона именно это и делает. Это означает, что списки получателей, записи об одноразовых паролях и подтверждении, отчёты о доставке, привязанные к номеру, а также связанные с ними временные метки и сетевые метаданные — все это подпадает под действие закона. Обрабатывайте их на законных основаниях, минимизируя объемы, соблюдая ограничения по хранению, а также используя средства обеспечения безопасности и контроля при передаче, предусмотренные законом.

## Ссылки

- SDAIA — Закон о защите персональных данных (PDPL) и соответствующие нормативные акты: [sdaia.gov.sa](https://sdaia.gov.sa/)
- Комиссия по связи, космосу и технологиям (CST) — регулирование телекоммуникаций и обмена сообщениями: [cst.gov.sa](https://www.cst.gov.sa/)
- BroadNet — [Правила идентификатора отправителя CST Саудовской Аравии](https://www.broadnet.me/blog/saudi-citc-cst-sender-id-rules) и [Правила Саудовской Аравии](https://www.broadnet.me/regulations/saudi-arabia).
- BroadNet — [соответствие требованиям](https://www.broadnet.me/compliance) и [архитектура безопасности](https://www.broadnet.me/security/architecture).